题目都是脑洞题，目前网上已经很多题解了，我简单说两句
F12打开控制台，选Network,看到有请求到/api/ctf/admin的请求，返回结果就是第一题flag，也可以直接审计元素看html源码拿到flag。(知道如何查看HTML源码基本是入门的第一步)
修改HTTP请求报文User-Agent为bilibili Security Browser，访问/api/ctf/2 获得第二个flag。 (通常很多网站服务端都会通过你的请求报文里User-Agent来判断你使用的浏览器，来避免一些爬虫或根据浏览器不同呈现不同的展示效果(这个通常在前端做))
弱口令的猜解，账号为admin，密码 bilibili (貌似川普的Twitter密码前一阵子就被人用这种方法破掉了，大家注意平时密码一定要起的复杂一点)
使用截获HTTP报文的工具(eg. burpsuite)，可以发现response里cookie set了个role=xxxxxxx， xxxxxxx是user对应的md5值，这里的脑洞在于你要把它改成Administrator对应的md5值。 (cookie一般是网站用来进行判断用户身份的令牌，大家要注意不要分享给别人，就比如比赛的过程中看到很多人分享暴力破解flag的脚本，结果忘了删自己的cookie，导致他的b站账号被盗取了:p)